h) 组织要确保管理者正式批准所有残余风险 l 所有残余风险是否获得管理者正式批准？
i) 组织要确保在ISMS实施和运行之前，获得管理者授权 l ISMS实施和运行是否获得管理者授权？
j) 组织要准备适用性声明 l 组织是否有一个准备适用性声明的过程？
l 适用性声明的内容是否有含有标准规定的“3项内容”？
l 适用性声明是否记载附录A中任何控制目标和控制措施的删减，以及删减的正当性理由？
条款：4.2.2 实施和运行ISMS
a) 组织要制定风险处理计划 l 组织是否有一个符合标准此条款要求的产生风险处理计划文件的过程？
l 是否有一个“风险处理计划”文件？
b) 组织要实施风险处理计划 l 组织是否有一个符合标准此条款要求的“实施风险处理计划”的过程？
c) 组织要实施所选择的控制措施 l 组织是否有一个符合标准此条款要求的“实施所选择的控制措施”的过程？
d) 组织要定义如何测量所选控制措施的有效性 l 组织是否有一个“测量所选控制措施有效性”的过程？
l 如何使用测量措施，去测量控制措施的有效性？
e) 组织要实施培训和意识教育计划 l 组织是否有一个符合标准此条款要求的“实施培训和意识教育计划”的过程？
f) 组织要管理ISMS的运行 l 组织是否有“管理ISMS的运行”的过程？
g) 组织要管理ISMS的资源 l 组织是否有对ISMS实施所需要的资源进行管理的过程？
h) 组织要实施组织的安全程序和其他控制措施 l 组织的ISMS是否有“*检测安全事件和对安全事故能做出*反应”的程序？
条款：4.2.3 监视和评审ISMS
a) 组织要执行监视与评审程序 l 组织是否有“监视与评审程序”，以：
1) *检测处理产生的错误；
2) *识别试图的和得逞的安全违规事件和事故；
3) 使管理者能确定*人员的安全活动或通过信息技术实施的安全活动是否如期执行；
4) 通过使用指示器，帮助检测安全事件并预防安全事故；
5) 确定解决安全违规事件的措施是否有效？
条款 7.1 ISMS的管理评审总则
(1) 管理者要每年至少评审1次ISMS l 是否有一个确保管理者每年至少评审1次ISMS的过程？
l 是否检查了ISMS的实施情况，以确保ISMS持续的适宜性、充分性和有效性？
(2) 评审要包括评估改进的机会和变更ISMS的需要 l 在管理评审时，是否评估了ISMS（包括信息安全方针和信息安全目标）改进的机会和变更的需要？
(3)评审的结果要形成文件 l 评审结果是否形成了文件？
(4)评审的记录要加以保持 l 记录是否按照“记录控制”的要求加以保持？
条款 7.2 评审输入
a) 管理评审的输入要包括审核和评审结果 l 是否有一个确保管理评审的输入包括标准要求的9方面信息的过程？
l 是否管理评审的输入包括先前的审核和评审结果？
b)管理评审的输入要包括相关方的反馈 l 是否管理评审的输入包括相关方的反馈？
c)管理评审的输入要包括可用于改进ISMS的技术、产品或程序 l 是否管理评审的输入包括可用于改进ISMS的技术、产品或程序？
d)管理评审的输入要包括预防和纠正措施的状况 l 是否管理评审的输入包括预防和纠正措施的状况？
e)管理评审的输入要包括以往风险评估没有充分解决的脆弱点或威胁 l 是否管理评审的输入包括预防和纠正措施的状况？
f)管理评审的输入要包括有效性测量的结果 l 是否管理评审的输入包括ISMS有效性的测量结果？
g)管理评审的输入要包括以往管理评审的跟踪措施 l 是否管理评审的输入包括以往管理评审的跟踪措施？
h)管理评审的输入要包括可能影响ISMS的任何变更 l 是否管理评审的输入包括可能影响ISMS的任何变更？
i) 管理评审的输入要包括改进的建议 l 是否管理评审的输入包括任改进的建议？
1. 目的和范围 2
2. 引用文件 2
3. 职责和权限 2
4. 记录控制要求 2
4.1. 信息安全相关运行记录包括： 2
4.2. 记录模板编制 3
4.3. 记录填写和编制 4
4.4. 记录储存 5
4.5. 记录的保护 5
4.6. 保存期 5
4.7. 记录借阅及处置 6
5. 相关文件 6
1. 目的和范围
为了正确实施记录的标识、储存、保护、检索、保存期限和处置,以提品符合规定要求和信息安全管理体系有效运行的证据,实现其可追溯性和信息安全改进,特制订本制度。
本制度适用于所有与信息安全管理体系运行有关的所有记录的控制管理。
2. 引用文件
1) 《文件控制制度》
3. 职责和权限
1) 总裁办：是记录的归口管理部门，负责记录标识、储存、保护、检索、保存期和处置的管理与控制。
2) 各部门：负责本部门记录的控制和管理。
4. 记录控制要求
4.1. 信息安全相关运行记录包括：
1) 管理评审记录；
2) 内部审核记录；
3) 人力资源教育、培训、技能和经验记录；
4) 监视和测量记录；
5) 风险评价、分析、处理记录；
6) 纠正措施实施结果记录；
7) 预防措施实施结果记录；
8) 信息安全管理体系第二、三层文件规定体系运行产生的其它记录。
-/gbafcji/-
http://iso9001fsc.b2b168.com
